[ad_1]
2023 年 11 月，在包括 Fairphone 5 在內的一系列智慧型手機中偵測到安全漏洞 元紅隊 X。 Fairphone 立即採取行動，於 12 月中旬發布了安全修復程序，解決了該問題，這意味著每個 Fairphone 型號現在都已針對此漏洞進行了防護。
Meta Red Team X 偵測到的漏洞影響 APEX 模組及其簽章方式； APEX 模組允許原始設備製造商（「OEM」）更新系統的特定部分，而無需發布完整的無線 (OTA) 更新，而是僅提供需要更新的子系統。 這些模組在建置過程中需要使用 OEM 的私鑰進行簽名，但我們發現我們的建置流程有一個缺點，我們使用的是測試金鑰（存在於 Android 原始碼建置樹中）而不是 Fairphone 的私鑰。
這意味著，在實踐中，攻擊者有可能將錯誤簽署的模組替換為使用相同測試金鑰簽署的其他文件，這些文件可能包含惡意程式碼。 話雖如此，這並不容易被利用。 這種替代需要對設備進行實體存取並具有 root 權限，或透過一系列其他關鍵漏洞獲得遠端存取。 然而，它確實存在一個高度嚴重的漏洞。
受 Fairphone 5 報告的觸發，我們也對 Fairphone 4 和 Fairphone 3/3+ 展開了內部調查，發現了類似受影響的 APEX 模組。 該漏洞已於 2023 年 12 月針對所有具有以下軟體版本的 Fairphone 裝置得到解決：
- 費爾電話5: TT3Y.A.127 （於 2023 年 12 月 11 日發布）
- 費爾電話4: TP20.C.087 （於 2023 年 12 月 25 日發布）
- 費爾電話 3/3+: 6.A.023.1 （於 2023 年 12 月 25 日發布）
如果您最近沒有更新過手機，我們邀請您安裝可用的最新軟體版本。 您始終可以在“系統”子選單下的“設定”選單中手動檢查系統更新。 有關該漏洞的更多資訊可以在 原始報告 或者 安全諮詢 由 Red Team X 出版。
[ad_2]
Comments